Configurar multi-inquilinos no Azure Stack Hub

Pré-requisitos

Antes de registar ou anular o registo de um diretório convidado, o utilizador e a Mariana têm de concluir os passos administrativos para os respetivos inquilinos Microsoft Entra: o diretório raiz (Contoso) do Azure Stack Hub e o diretório convidado (Adatum):

• Instalar e configurar o PowerShell para o Azure Stack Hub.

• Transfira as Ferramentas do Azure Stack Hub e, em seguida, importe os módulos Ligar e Identidade:

  Import-Module .\Identity\AzureStack.Identity.psm1
  

Registar um diretório convidado

Para registar um diretório convidado para multi-inquilinos, tem de configurar o diretório principal do Azure Stack Hub e o diretório convidado.

Configurar o diretório do Azure Stack Hub

Enquanto administrador de serviços do contoso.onmicrosoft.com, primeiro tem de integrar o inquilino do diretório convidado do Adatum no Azure Stack Hub. O script seguinte configura o Azure Resource Manager para aceitar inícios de sessão de utilizadores e principais de serviço no inquilino do adatum.onmicrosoft.com:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
$adminARMEndpoint = "https://adminmanagement.local.azurestack.external"

## Replace the value below with the Azure Stack Hub directory
$azureStackDirectoryTenant = "contoso.onmicrosoft.com"

## Replace the value below with the guest directory tenant. 
$guestDirectoryTenantToBeOnboarded = "adatum.onmicrosoft.com"

## Replace the value below with the name of the resource group in which the directory tenant registration resource should be created (resource group must already exist).
$ResourceGroupName = "system.local"

## Replace the value below with the region location of the resource group.
$location = "local"

# Subscription Name
$SubscriptionName = "Default Provider Subscription"

Register-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
 -DirectoryTenantName $azureStackDirectoryTenant `
 -GuestDirectoryTenantName $guestDirectoryTenantToBeOnboarded `
 -Location $location `
 -ResourceGroupName $ResourceGroupName `
 -SubscriptionName $SubscriptionName

Configurar o diretório convidado

Em seguida, a Mariana (administradora de diretórios do Adatum) tem de registar o Azure Stack Hub no diretório convidado adatum.onmicrosoft.com ao executar o seguinte script:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
$tenantARMEndpoint = "https://management.local.azurestack.external"

## Replace the value below with the guest directory tenant.
$guestDirectoryTenantName = "adatum.onmicrosoft.com"

Register-AzSWithMyDirectoryTenant `
 -TenantResourceManagerEndpoint $tenantARMEndpoint `
 -DirectoryTenantName $guestDirectoryTenantName `
 -Verbose

Direcionar os utilizadores para iniciarem sessão

Por fim, o Mariana pode direcionar os utilizadores do Adatum com @adatum.onmicrosoft.com contas para iniciarem sessão ao visitar o portal de utilizadores do Azure Stack Hub. Para sistemas de vários nós, o URL do portal de utilizador é formatado como https://portal.<region>.<FQDN>. Para uma implementação do ASDK, o URL é https://portal.local.azurestack.external.

A Maria também tem de direcionar quaisquer principais estrangeiros (utilizadores no diretório do Adatum sem o sufixo de adatum.onmicrosoft.com) para iniciar sessão com https://<user-portal-url>/adatum.onmicrosoft.com. Se não especificarem o inquilino do diretório no URL, serão enviados para o respetivo diretório predefinido e receberão um erro a indicar que o /adatum.onmicrosoft.com administrador não consentiu.

Anular o registo de um diretório convidado

Se já não quiser permitir inícios de sessão nos serviços do Azure Stack Hub a partir de um inquilino de diretório convidado, pode anular o registo do diretório. Mais uma vez, o diretório principal do Azure Stack Hub e o diretório convidado têm de ser configurados:

1. Como administrador do diretório convidado (Maria neste cenário), execute Unregister-AzsWithMyDirectoryTenant. O cmdlet desinstala todas as aplicações do Azure Stack Hub do novo diretório.

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
   $tenantARMEndpoint = "https://management.local.azurestack.external"
   
   ## Replace the value below with the guest directory tenant.
   $guestDirectoryTenantName = "adatum.onmicrosoft.com"
   
   Unregister-AzsWithMyDirectoryTenant `
    -TenantResourceManagerEndpoint $tenantARMEndpoint `
    -DirectoryTenantName $guestDirectoryTenantName `
    -Verbose 
   

2. Enquanto administrador de serviços do Azure Stack Hub (neste cenário), execute o Unregister-AzSGuestDirectoryTenant cmdlet:

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
   $adminARMEndpoint = "https://adminmanagement.local.azurestack.external"
   
   ## Replace the value below with the Azure Stack Hub directory
   $azureStackDirectoryTenant = "contoso.onmicrosoft.com"
   
   ## Replace the value below with the guest directory tenant. 
   $guestDirectoryTenantToBeDecommissioned = "adatum.onmicrosoft.com"
   
   ## Replace the value below with the name of the resource group in which the directory tenant resource was created (resource group must already exist).
   $ResourceGroupName = "system.local"
   
   Unregister-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
    -DirectoryTenantName $azureStackDirectoryTenant `
    -GuestDirectoryTenantName $guestDirectoryTenantToBeDecommissioned `
    -ResourceGroupName $ResourceGroupName
   

   Aviso

   Os passos para desativar multi-inquilinos têm de ser executados por ordem. O passo 1 falhará se o passo 2 for concluído primeiro.

Obter o relatório de estado de funcionamento da identidade do Azure Stack Hub

Substitua os <region>marcadores de posição , <domain>e <homeDirectoryTenant> e execute o seguinte cmdlet como administrador do Azure Stack Hub.

$AdminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"
$DirectoryName = "<homeDirectoryTenant>.onmicrosoft.com"
$healthReport = Get-AzsHealthReport -AdminResourceManagerEndpoint $AdminResourceManagerEndpoint -DirectoryTenantName $DirectoryName
Write-Host "Healthy directories: "
$healthReport.directoryTenants | Where status -EQ 'Healthy' | Select -Property tenantName,tenantId,status | ft


Write-Host "Unhealthy directories: "
$healthReport.directoryTenants | Where status -NE 'Healthy' | Select -Property tenantName,tenantId,status | ft

Atualizar permissões de inquilino Microsoft Entra

Esta ação limpa um alerta no Azure Stack Hub, que indica que um diretório requer uma atualização. Execute o seguinte comando a partir da pasta Azurestack-tools-master/identity :

Import-Module ..\Identity\AzureStack.Identity.psm1

$adminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"

# This is the primary tenant Azure Stack Hub is registered to:
$homeDirectoryTenantName = "<homeDirectoryTenant>.onmicrosoft.com"

Update-AzsHomeDirectoryTenant -AdminResourceManagerEndpoint $adminResourceManagerEndpoint `
   -DirectoryTenantName $homeDirectoryTenantName -Verbose

O script pede-lhe credenciais administrativas no inquilino Microsoft Entra e demora vários minutos a ser executado. O alerta é limpo depois de executar o cmdlet .